Tietoturvataso

Tietoturvataso on organisaation tai järjestelmän suojauksien tiukkuutta kuvaava käsite. Se määrittelee, millaisia turvatoimia tiedoille ja tietojärjestelmille on tarpeen toteuttaa suhteessa tiedon arvoon, herkkyyteen sekä mahdollisten konsekuenssien vakavuuteen. Tavoitteena on varmistaa riittävä salassapito, eheys ja saatavuus eli niin sanottu CIA-tarve.

Tietoturvataso määritellään usein riskinarvioinnin ja tiedon luokittelun kautta. Organisaatio kartoittaa tietovarantojen arvon ja herkkyyden, tunnistaa uhkakuvat sekä haavoittuvuudet, ja määrittelee sen perusteella sopivat turvatoimet. Vaihtoehtoisesti käytössä voi olla ennalta määriteltyt tasot, kuten matala, keskitaso ja korkea tai numeerinen asteikko, joihin kytkeytyy vähimmäisvaatimus valinnoista kontrolli- ja hallintatoimenpiteisiin.

Tasojen toteuttaminen sisältää sekä teknisiä että organisatorisia toimenpiteitä. Esimerkkejä ovat pääsynhallinta, salaukset sekä tiedon oikeellisuutta suojaavat kontrollit, varmistus- ja varmuuskopiointikäytännöt, tietojen luovuttamisen valvonta sekä tapahtumaloki- ja repeytymistestaus. Tietoturvataso päivitetään säännöllisesti riskien muuttuessa ja vaikuttaa muun muassa hankinnoissa, sopimuksissa sekä turvallisuusvaatimusten määrittelyssä.

Suhteessa standardeihin tietoturvataso voi perustu ISO/IEC 27001 -sarjan viitteisiin tai muihin alan ohjeistuksiin. Käytännössä tasoa käytetään ohjaamaan turvallisuusvaatimusten valintaa ja varmistamaan asianmukainen suojaus koko elinkaaren ajan.